Krav: opprettelse av maskinbruker-applikasjoner er Sikt-only, ikke stengt (BRU-APP-API-009)

[krhoybraten-sikt]

BRU-APP-API-009 sa at FS som identitetsleverandør er utfaset, og at «det er kun opprettelse som er stengt». Beslutningen 24. august 2026 endrer det siste leddet: opprettelse av maskinbruker-applikasjoner er ikke stengt, men Sikt-only.

Hva som endres

• Applikasjonsadministratorer hos Sikt kan opprette maskinbruker-applikasjoner (FS som identitetsleverandør) så lenge FS' webtjenester lever. Selvbetjent opprettelse hos lærestedene er fortsatt stengt — det er ikke lærestedets eget valg å ta i bruk en utfaset integrasjonsform.
• Begrunnelsen er at opprettelsen provisjonerer en maskinbruker i FS' webtjenester, med replikering av passordet. Det er en integrasjonsflate Sikt drifter, og den bør kunne forvaltes fra applikasjonsoversikten framfor av databaseforvaltningen så lenge den lever.
• Avgrensningen står som en egen regel, og er den viktigste delen av endringen: bare opprettelsen er gatet hos Sikt. Den løpende forvaltningen av en maskinbruker-applikasjon som finnes — navn og beskrivelse, deaktivering og reaktivering, passordbytte — følger BRU-APP-API-006, BRU-APP-API-010 og BRU-APP-API-004, altså rettigheten hos organisasjonen som eier applikasjonen. Når applikasjonen først finnes, er den organisasjonens egen på linje med de øvrige.

Filer

Fil	Endring
opprette_applikasjon.feature	Innledningen omskrevet fra «stengt» til Sikt-only med avgrensningen; ny regel «Bare Sikt kan opprette en applikasjon med FS som identitetsleverandør» med fire scenarioer (Sikt-administrator kan velge FS, FS er ikke et valg for en lokal administrator, forsøk uten rettigheten avvises, opprettelsen provisjonerer en maskinbruker); ny regel «Bare opprettelsen av en maskinbruker-applikasjon er gatet hos Sikt» med to scenarioer for den løpende forvaltningen
opprette_applikasjon.design.md	IdP-velgeren får FS som et tredje valg, synlig bare for Sikt-administratorer; per-scenario-avsnittet om FS skrevet om; datert oppføring i «Avklarte valg»
systemkrav.md	K8s korte beskrivelse og notatet om FS-utfasing rettet, og beslutningen lagt inn som eget datert notat

Valg og avgrensninger

• Krav-ID-en er beholdt. BRU-APP-API-009 er @must @planned og ikke bygget, og repoets praksis for dette kravet er at innholdet endres under samme id — forrige endring (de åpne spørsmålene om opprettelse) gjorde det samme. Ingen ny id, ingen deprecation: det finnes ingen bygget flate å være bakoverkompatibel med.
• Kravoversikten er ikke rørt. Id, tittel, sub-domene, kapabilitet, tags og filnavn for 009 er uendret, så raden i krav/krav-oversikt.md er fortsatt korrekt. (Oversikten har heller ingen generator i repoet, og flere rader er alt utdaterte fra tidligere filnavnendringer — en opprydding der hører i en egen PR.)
• Rollekoder og organisasjonsnumre er holdt utenfor kravteksten. Gatingen er formulert som «applikasjonsadministrator-rollen for Sikt», i tråd med formuleringen i de øvrige featurene.

Implementasjonen kommer i FS-plattformen; denne PR-en dekker bare kravsiden.

Ikke merge — til gjennomlesning.

[krhoybraten-sikt]

Flettet inn innholdet fra #545 (krav/maskinbruker-opprettelse-fs-admin) i commit 18cf820: den var skrevet før teambeslutningen og dekket miljøløs opprettelse, alt-eller-ingenting-avvisning ved manglende FS-datakilde, og at passord settes per miljø etterpå — reell funksjonalitet som manglet her, og som matcher den faktiske oppførselen i opprett_maskinbruker_applikasjon (fs-plattform, migrering 0030/TS001).

Rollemodellen er presisert til denne PR-ens språk (applikasjonsadministrator hos Sikt); #545s super-applikasjonsadministrator er bevisst ikke videreført, siden det ikke er rollen som faktisk ble implementert. #545 lukkes med henvisning hit.